ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 ("GDPR") e del D.Lgs. 30 giugno 2003, n. 196 (Codice Privacy)
Il Titolare del trattamento dei dati personali raccolti attraverso il sito web e la piattaforma RGPD Manager è:
IT Business S.r.l.
Via Savoia 80, 00198 Roma (RM)
P.IVA / C.F.: 06524561005
E-mail: [email protected]
(di seguito, il "Titolare").
La presente informativa descrive le modalità di trattamento dei dati personali degli utenti che si registrano, vengono abilitati o comunque utilizzano la piattaforma RGPD Manager, inclusi i consulenti, i collaboratori dei consulenti e i referenti interni delle organizzazioni clienti.
L'account può essere creato direttamente dall'interessato oppure da un soggetto già autorizzato alla gestione della piattaforma. In quest'ultimo caso, il soggetto che procede all'abilitazione può fornire al Titolare i dati necessari alla creazione dell'utenza, quali nome, cognome e indirizzo e-mail. La presente informativa disciplina pertanto anche i trattamenti effettuati sui dati raccolti indirettamente dall'interessato.
Essa si applica esclusivamente ai dati personali raccolti dal Titolare per:
Per quanto concerne i cookie e gli altri strumenti di tracciamento, si rinvia alla Cookie Policy disponibile sul sito, implementata tramite la piattaforma CookieYes.
Il Titolare tratta le seguenti categorie di dati personali:
Il Titolare non tratta dati personali appartenenti a categorie particolari (ex art. 9 GDPR, cd. "dati sensibili") relativi agli utenti registrati, salvo che tali dati vengano volontariamente caricati dagli stessi nella piattaforma per conto delle organizzazioni clienti (si veda il punto 5).
| Finalità | Base giuridica |
|---|---|
| A) Registrazione e gestione dell'account: creazione, autenticazione, gestione delle credenziali, comunicazioni relative al servizio. | Esecuzione di misure precontrattuali e contrattuali (art. 6, par. 1, lett. b) GDPR). |
| B) Erogazione dei servizi della piattaforma: messa a disposizione delle funzionalità di RGPD Manager per la gestione della conformità normativa. | Esecuzione del contratto (art. 6, par. 1, lett. b) GDPR). |
| C) Assistenza tecnica e supporto operativo: segnalazioni e risposta alle richieste dell'utente. | Esecuzione del contratto (art. 6, par. 1, lett. b) GDPR). |
| D) Sicurezza informatica e prevenzione degli abusi: monitoraggio dei sistemi, rilevazione di intrusioni, prevenzione di accessi non autorizzati, gestione di incidenti di sicurezza. | Legittimo interesse del Titolare (art. 6, par. 1, lett. f) GDPR) – interesse concretizzato nella protezione dell'integrità dei sistemi e dei dati. |
| E) Adempimento di obblighi legali e normativi: ottemperanza a richieste dell'Autorità Giudiziaria, del Garante per la protezione dei dati personali o di altre Autorità competenti. | Obbligo legale (art. 6, par. 1, lett. c) GDPR). |
| F) Attività di miglioramento e analisi aggregate (esclusivamente su dati resi anonimi e non riconducibili alla singola persona). | Legittimo interesse del Titolare (art. 6, par. 1, lett. f) GDPR), previa adozione di adeguate misure di anonimizzazione. |
Il Titolare non utilizza i dati personali per finalità di marketing diretto o profilazione commerciale senza il preventivo consenso esplicito dell'interessato, che ove necessario verrà richiesto con apposita modulistica separata.
IT Business S.r.l. è proprietaria e gestore della piattaforma RGPD Manager.
Con riferimento ai dati di registrazione e gestione degli account (nome, email, credenziali, log, ecc.), IT Business S.r.l. opera in qualità di Titolare del trattamento ai sensi dell'art. 4, n. 7 del GDPR.
Le utenze possono comprendere, in funzione dell'organizzazione del servizio, il consulente, eventuali collaboratori del consulente e referenti interni dell'organizzazione cliente. Il consulente può abilitare propri collaboratori ad operare sulle istanze delle organizzazioni da esso gestite e può creare o abilitare referenti interni dell'organizzazione cliente, ai quali possono essere attribuiti specifici profili e permessi di accesso.
Con riferimento ai dati personali eventualmente inseriti, caricati o elaborati all'interno della piattaforma dagli utenti per conto delle organizzazioni clienti (es. registri delle attività di trattamento, valutazioni d'impatto, elenchi di dipendenti o contatti), valgono le seguenti distinzioni:
I rapporti tra IT Business S.r.l. e le organizzazioni clienti sono disciplinati dall'Allegato B – Accordo sul trattamento dei dati personali (DPA – art. 28 GDPR), che costituisce parte integrante del Contratto. Quando il Cliente (Consulente) opera quale Responsabile del trattamento per conto di un'Azienda Assistita, IT Business S.r.l. può operare quale sub-responsabile ai sensi dell'art. 28, par. 4, GDPR, nei limiti autorizzati dalla catena di nomina applicabile.
Le Parti prendono atto che:
La qualificazione dei ruoli dipende dai trattamenti effettivamente svolti e non viene modificata dal solo utilizzo della piattaforma. Il dettaglio è disciplinato nell'Allegato B – DPA.
I dati personali dell'utente possono essere raccolti direttamente dall'interessato, ad esempio durante la registrazione o l'attivazione dell'account, oppure indirettamente, quando un consulente o altro soggetto già autorizzato alla gestione della piattaforma inserisce nella piattaforma i dati necessari alla creazione o all'abilitazione dell'utenza.
In particolare, per la creazione di un account possono essere comunicati il nome, il cognome e l'indirizzo e-mail dell'interessato. Successivamente, il sistema può inviare automaticamente all'indirizzo indicato le comunicazioni necessarie per completare l'attivazione dell'account e impostare le credenziali personali.
Quando i dati sono raccolti indirettamente, il Titolare fornisce all'interessato le informazioni previste dall'art. 14 GDPR mediante la presente informativa e/o mediante le comunicazioni relative all'attivazione dell'account.
Il conferimento dei dati necessari alla creazione o all'abilitazione dell'account, quali nome, cognome e indirizzo e-mail, è necessario per la gestione dell'utenza e per l'accesso alla piattaforma. Tali dati possono essere forniti direttamente dall'interessato oppure da un soggetto già autorizzato alla gestione della piattaforma.
L'eventuale rifiuto di fornire tali dati comporta l'impossibilità di completare la registrazione e, di conseguenza, di accedere ai servizi offerti.
Il conferimento di ulteriori dati facoltativi (es. informazioni aggiuntive in fase di assistenza tecnica) è libero e non preclude l'utilizzo delle funzionalità principali.
Il trattamento viene effettuato con strumenti elettronici e informatici, nel rispetto dei principi di liceità, correttezza, trasparenza, minimizzazione e integrità di cui all'art. 5 GDPR.
Il Titolare adotta le seguenti misure tecniche e organizzative minime:
Il dettaglio delle misure tecniche e organizzative adottate, delle modalità di backup e di ripristino è disciplinato nell'Allegato C – Continuità Operativa e Sicurezza del servizio, che costituisce parte integrante del Contratto.
I dati personali possono essere comunicati a:
I soggetti terzi che operano in qualità di Responsabili del trattamento (art. 28 GDPR) sono vincolati da appositi contratti o atti giuridici che impongono le medesime garanzie di sicurezza richieste dal GDPR.
L'elenco aggiornato dei sub-responsabili, con l'indicazione delle attività di trattamento loro affidate, è disponibile su richiesta e comunicato secondo le modalità previste dall'Allegato B – DPA. Il Cliente può opporsi all'utilizzo di un sub-responsabile per motivi documentati e pertinenti connessi alla protezione dei dati.
I dati non sono oggetto di diffusione (cioè non vengono resi noti a soggetti indeterminati).
Il Titolare non effettua trasferimenti di dati personali verso Paesi terzi al di fuori dello Spazio Economico Europeo (SEE), salvo necessità documentata e nel rispetto del Capo V del GDPR, mediante idoneo meccanismo di trasferimento (decisioni di adeguatezza della Commissione Europea ai sensi dell'art. 45 GDPR, Clausole Contrattuali Standard ai sensi dell'art. 46, par. 2, lett. c) GDPR, o misure suppletive ove richieste dal contesto del trasferimento).
L'infrastruttura cloud utilizzata per l'erogazione del Servizio è ubicata nel territorio dell'Unione Europea. L'elenco aggiornato dei Paesi terzi eventualmente coinvolti e delle relative garanzie è disponibile su richiesta scrivendo a [email protected] ed è disciplinato dall'Allegato B – DPA, art. 9.
I dati personali sono conservati per il tempo strettamente necessario al perseguimento delle finalità per le quali sono stati raccolti, secondo i seguenti criteri specifici:
| Tipologia di dato | Periodo di conservazione |
|---|---|
| Dati dell'account utente (nome, email, credenziali, organizzazione) | Per tutta la durata del rapporto contrattuale attivo. Alla cessazione del contratto, i dati saranno cancellati entro 30 giorni dalla richiesta dell'utente o dalla scadenza del contratto, salvo diversi obblighi di legge. |
| Dati di fatturazione e amministrativi | 10 anni (come prescritto dalla normativa fiscale e civilistica italiana, art. 2220 c.c.). |
| Log di accesso e di sicurezza (IP, timestamp, eventi) | 12 mesi dalla generazione del log, salvo che gli stessi non siano necessari per indagini su incidenti di sicurezza in corso (in tal caso, fino alla risoluzione dell'incidente). |
| Dati caricati nella piattaforma per conto delle organizzazioni clienti (art. 28 GDPR) | Secondo le istruzioni impartite dal Titolare (organizzazione cliente); in assenza di istruzioni diverse, per la durata del contratto e successivamente cancellati entro 30 giorni, salvo obblighi di legge che ne impongano la conservazione o dati presenti in backup soggetti a cicli tecnici di sovrascrittura (conservazione 7 giorni), come previsto dall'Allegato B – DPA e dall'Allegato C. |
Alla scadenza dei termini sopra indicati, i dati vengono cancellati in modo sicuro o resi anonimi in via permanente.
L'interessato ha il diritto di esercitare in qualsiasi momento i seguenti diritti:
Il Titolare non adotta processi decisionali interamente automatizzati (ex art. 22 GDPR) che producano effetti giuridici o incidano significativamente sulla persona.
Per esercitare i propri diritti o per ottenere qualsiasi chiarimento in merito al trattamento dei dati personali, l'interessato può contattare il Titolare tramite:
E-mail: [email protected]
Il Titolare risponderà alle richieste entro 30 giorni dal ricevimento, eventualmente prorogabili di ulteriori due mesi in ragione della complessità della richiesta, dandone comunque tempestiva comunicazione all'interessato.
Per l'erogazione dei servizi, il Titolare si avvale di fornitori terzi designati quali Sub-responsabili del trattamento. Le principali categorie di sub-responsabili sono:
L'elenco completo e aggiornato dei sub-responsabili è disponibile su richiesta scritta da inviare all'indirizzo email: [email protected] ed è comunicato secondo le modalità previste dall'Allegato B – DPA.
Il Titolare si impegna a:
Il Titolare si riserva il diritto di modificare o aggiornare la presente informativa in qualsiasi momento, anche per adeguarla a modifiche normative o giurisprudenziali, variazioni organizzative o tecniche della piattaforma, evoluzioni dei servizi offerti.
La versione aggiornata sarà resa disponibile sul sito web all'indirizzo rgpdmanager.it e all'interno della piattaforma RGPD Manager. Si invita l'utente a consultare periodicamente la presente informativa per prendere visione di eventuali aggiornamenti. Le modifiche avranno effetto dalla data di pubblicazione.